Nesta página, descrevemos Cloud de Confiance serviços e recursos que ajudam a proteger seus artefatos.
Criptografia em repouso
Por padrão, Cloud de Confiance by S3NS o criptografa os dados automaticamente em repouso usando chaves de criptografia gerenciadas pelo Google. Se você tiver requisitos regulatórios ou de conformidade específicos relacionados às chaves que protegem seus dados, crie repositórios criptografados com chaves de criptografia gerenciadas pelo cliente (CMEK).
Controle de acesso
Por padrão, todos os repositórios são privados. Siga o princípio de segurança de privilégio mínimo e conceda apenas as permissões mínimas que são exigidas por usuários e contas de serviço.
Prevenção a exfiltração de dados
Para evitar a exfiltração de dados, use o VPC Service Controls para colocar o Artifact Registry e outros Cloud de Confiance by S3NS serviços em um perímetro de segurança de rede.
Remover imagens não usadas
Remova imagens de contêiner não usadas para reduzir os custos de armazenamento e atenuar os riscos de usar softwares mais antigos. Há várias ferramentas disponíveis para ajudar com essa tarefa, incluindo o gcr-cleaner. A ferramenta gcr-cleaner não é um produto oficial do Google.
Como integrar a segurança aos processos
A integração de objetivos de segurança da informação ao trabalho diário pode ajudar a aumentar o desempenho da entrega de software e criar sistemas mais seguros. Essa ideia também é conhecida como mudança para a esquerda, porque as preocupações, incluindo questões de segurança, são abordadas anteriormente no ciclo de vida do desenvolvimento de software (isto é, deixadas em um diagrama de programação da esquerda para a direita). A mudança para a esquerda na segurança é um dos recursos do DevOps identificados no programa de pesquisa DORA State of DevOps (em inglês).
Para saber mais, faça o seguinte:
- Leia sobre o recurso Mudança para a esquerda na segurança .
Considerações para repositórios públicos
Considere cuidadosamente os casos a seguir:
- Uso de artefatos de fontes públicas
- Tornar públicos seus próprios repositórios do Artifact Registry
Usar artefatos de fontes públicas
As seguintes fontes públicas de artefatos fornecem ferramentas que podem ser usadas ou dependências para builds e implantações:
No entanto, sua organização pode ter restrições que afetam o uso de artefatos públicos. Exemplo:
- Você quer controlar o conteúdo da sua cadeia de suprimentos de software.
- Você não quer depender de um repositório externo.
- Você quer controlar estritamente as vulnerabilidades em seu ambiente de produção.
- Você quer o mesmo sistema operacional de base em todas as imagens.
Considere as seguintes abordagens para proteger sua cadeia de suprimentos de software:
- Use imagens de base padronizadas. O Google fornece algumas imagens de base que podem ser usadas.
Repositórios públicos do Artifact Registry
É possível tornar um repositório do Artifact Registry público concedendo o papel Leitor do Artifact Registry à identidade allUsers.
Se todos os usuários tiverem Cloud de Confiance contas, você poderá limitar o acesso
a usuários autenticados com a identidade allAuthenticatedUsers em vez disso.
Considere as seguintes diretrizes antes de tornar um repositório do Artifact Registry público:
- Verifique se todos os artefatos armazenados no repositório podem ser compartilhados publicamente e não expõem credenciais, dados pessoais ou confidenciais.
- Por padrão, os projetos têm cotas ilimitadas por usuário quotas. Para evitar abusos, limite as cotas por usuário no seu projeto.
Orientação para aplicativos da Web
- O OWASP Top 10 lista os principais riscos de segurança para aplicativos da Web de acordo com o Open Web Application Security Project (OSWAP).
Orientação para contêineres
O Center for Internet Security (CIS) tem um comparativo de mercado do Docker para avaliar a segurança de um contêiner do Docker.
O Docker fornece um script de código aberto chamado Docker Bench for Security. Você pode usar o script para validar um contêiner do Docker em execução no comparativo de mercado do CIS do Docker.
O Docker Bench For Security pode ajudar você a verificar muitos itens no comparativo de mercado do CIS do Docker, mas nem todos os itens são verificáveis com o script. Por exemplo, o script não pode verificar se o host do contêiner está mais protegido ou se a imagem do contêiner inclui dados pessoais. Analise todos os itens no comparativo de mercado e identifique aqueles que podem precisar de verificação adicional.